[TLP:CLEAR] Oracle E-Business Suite opravuje krytickú zraniteľnosť
Oracle opravuje kritickú zraniteľnosť v produkte Oracle E-Business Suite. Oprava bola vydaná v rámci Critical Security Patch Update z mája 2026 [1].
Neautentizovanému vzdialenému útočníkovi je prostredníctvom protokolu HTTP umožnené prevziať kontrolu nad komponentom Oracle Payments [1][3]. Zraniteľnosť je aktívne zneužívaná, v čase zverejnenia neexistoval verejný PoC ani podrobnosti o spôsobe zneužitia [2].
Zraniteľnosť sa nachádza v produkte:
- Oracle E-Business Suite; >=12.2.3, <=12.2.15
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2026-46817 na cve.org, NVD
- CWE-269: Improper Privilege Management na cwe.mitre.org
- CWE-287: Improper Authentication na cwe.mitre.org
- CWE-306: Missing Authentication for Critical Function na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 28. 6. 2026.
Odkazy
Za CESNET, z.s.p.o. Henrieta Paločková dňa 30. 6. 2026.